コンテンツにスキップ

IDR インテグレーションガイド🔗

Taegis™ IDR がお客様のテナントで有効になっている場合は、Taegis Menu から Identity を選択して、Microsoft Entra ID またはオンプレミス Active Directory (AD) とのインテグレーションの設定を開始します。

Microsoft Entra ID🔗

セットアッププロセスでは、Azure の Sophos Master Application を使用して、必要なアプリケーションを自動的に作成し、お客様の Azure テナント内で必要な権限を付与します。

前提条件🔗

  • Identity モジュールが有効な XDR へのアクセス
  • XDR Tenant Administrator ロール
  • テナント全体の管理者同意を付与する権限を持つ Entra ID 管理者ロール
  • Microsoft Entra ID P1 以上のライセンス

Microsoft Entra ID インテグレーションを設定する🔗

  1. Taegis Menu から Identity に移動します。

  2. Identity Settings ページには、2 つのインテグレーションカードが表示されます。

    • クラウドベースの ID 監視用の Microsoft Entra ID
    • オンプレミス AD 環境用の On-Premise Active Directory

  3. Microsoft Entra ID カードの Set Up をクリックします。

    Set Up をクリック

  4. インテグレーションの名前を入力し、Next をクリックします。

    インテグレーションに名前を付ける

  5. Authorize をクリックして、Microsoft の ID プロバイダーにリダイレクトします。

    Authorize をクリック

  6. メッセージが表示されたら、Entra ID テナントとのインテグレーションに対して組織全体の同意を付与できるユーザーアカウントでサインインします。次に、一覧表示された権限を承認して、IDR に Entra ID へのアクセスを許可します。詳細については、Microsoft のドキュメント を参照してください。

  7. セットアップが完了したら、Close をクリックします。

インテグレーション認可を再試行する🔗

管理者同意プロセスが、アプリケーションが見つからなかったことを示すエラーで失敗した場合、通常は Microsoft のレプリケーション遅延が原因です。セットアップを完了するには、次の手順を使用します。

  1. サービスプリンシパルが Microsoft のインフラストラクチャ全体にレプリケートされるまで、15～30 分 待ちます。待機中は他の作業を続けることができます。

  2. Identity > Settings に移動します。

  3. Actions 列の省略記号アイコン をクリックし、Grant Admin Consent を選択します。これにより、認可を完了するために Microsoft の ID プロバイダーにリダイレクトされます。

    Grant Admin Consent をクリック

  4. メッセージが表示されたら、Entra ID テナントに対して組織全体の同意を付与できるアカウントでサインインします。一覧表示された権限を承認して、IDR に Entra ID へのアクセスを許可します。詳細については、Microsoft のドキュメント を参照してください。

  5. 同意を付与した後、Refresh アイコン をクリックして、インテグレーションを再プロビジョニングします。

    インテグレーションを再プロビジョニングする

ヒント

プロビジョニングは最大 60 分間、自動的に再試行されます。インテグレーションを開始してから 60 分以上経過している場合にのみ、Refresh をクリックしてください。

On-Premise Active Directory🔗

On-Premise Active Directory インテグレーションでは、Sophos ITDR センサーを展開して、オンプレミス AD 環境に ID セキュリティ監視を拡張できます。ITDR センサーは現在、英語のみ をサポートしています。

注意

On-Premise AD インテグレーションは、Microsoft Entra ID インテグレーションなしで個別に展開できます。Entra ID なしで使用する場合、可視性と体制評価はオンプレミス AD 環境のみに制限されます。

前提条件🔗

  • XDR にアクセスでき、ID モジュールが有効になっていること。
  • XDR テナント管理者 ロール。
  • サポートされている Windows Server バージョン (2016～2025) で稼働し、Microsoft .NET Framework 4.8 がインストールされた Active Directory サーバー。
  • ADドメイン名（CORP.LOCAL や CHILD.CORP.LOCAL など）に関する知識。
  • AD の読み取り専用サービスアカウント。
  • ファイアウォールがデフォルトでブロックする場合は、これらのドメイン へのアウトバウンドファイアウォールアクセスを有効にします。

On-Premise Active Directory インテグレーションを設定する🔗

On-Premise AD インテグレーションを設定するには、次の手順に従います。

  1. Taegis Menu から Identity に移動します。

  2. Identity Settings ページには、2 つのインテグレーションカードが表示されます。

    • クラウドベースの ID 監視用の Microsoft Entra ID
    • オンプレミス AD 環境用の On-Premise Active Directory

  3. On-Premise Active Directory カードの Set Up をクリックします。

    On-Premise Active Directory セットアップカード

    ヒント

    このカードには、セットアップ前に必要に応じて ITDR センサーをダウンロードしたり、ドキュメントを開いたりするためのリンクも表示されます。

  4. On-Premise Active Directory で、次のフィールドに入力してから Next をクリックします。

    Field Description Example
    Name the directory service このインテグレーションの表示名 Production AD
    Active Directory domains to monitor 監視する AD ドメイン名のカンマ区切りリスト CORP.LOCAL, CHILD.CORP.LOCAL

    On-Premise Active Directory セットアップダイアログ

    重要

    Next をクリックすると、Client ID と Client Secret が自動的に生成されます。このプロセスには数分かかる場合があります。

  5. 認証情報が生成されると、API Credential Summary に次の内容が表示されます。

    • Name: 入力した表示名。
    • Domains: 指定した AD ドメイン。
    • Client ID: ITDR センサー用に自動生成された識別子。
    • Client Secret: ITDR センサー用に自動生成されたシークレット。

    API Credential Summary

    重要

    Client Secret は 1 回だけ表示されます。このダイアログを閉じる前に、必ずシークレットをコピーまたはダウンロードする必要があります。再取得はできません。認証情報の有効期限は 36 か月です。

  6. Download client secret をクリックして認証情報をファイルとして保存するか、各フィールドの横にあるコピーアイコン をクリックして Client ID と Client Secret をクリップボードにコピーします。

ITDR センサーをダウンロードしてインストールする🔗

センサーをダウンロードしてインストールするには、次の手順に従います。

  1. Download ITDR Sensor をクリックして、センサーインストーラーをダウンロードします。
  2. インストーラーを、オンプレミスネットワーク上でセンサーをホストする Windows Server に転送します。

  3. そのサーバーでインストーラーを実行し、セットアップウィザードを進めます。

    ITDR センサーセットアップウィザード

  4. メッセージが表示されたら、前のセクション で生成された Client ID と Client Secret を入力し、Next をクリックします。

    Sophos 認証情報の入力

  5. LDAP 設定を構成してから、Next をクリックします。安全な通信のために LDAP over SSL を選択することを推奨します。

    LDAP 設定

  6. Service Account のユーザー名とパスワードを入力し、Next をクリックします。

  7. 監視に含める Domains を選択し、Next をクリックします。

    ドメインの選択

  8. AD Filters タブでは、必要なすべてのオブジェクトタイプが収集されるようにデフォルト設定を選択したままにして、Next をクリックします。

    AD Filters

  9. Sync Schedule タブでは、適時に更新されるようにデフォルトの間隔を 1 hour のままにして、Finish をクリックします。

    Sync Schedule

  10. ウィザードが完了すると、通信ステータスウィンドウが表示されます。Sync Now をクリックして、AD 環境の初回フル同期を実行します。

注意

初回同期には、AD 環境の規模に応じて数分かかる場合があります。以降の同期では、増分変更のみが送信されます。

インテグレーションを確認する🔗

ITDR センサーがインストールされて実行中になったら、次の手順でインテグレーションを確認します。

  1. XDR の Identity Settings に戻ります。

  2. 新しいインテグレーションが Configured Integrations テーブルに次の詳細とともに表示されます。

    • Type: On-Prem Active Directory
    • Health: Healthy
    • Status: Enabled (トグルがオン)

  3. Health ステータスが Unhealthy と表示される場合は、次の点を確認します。

    • ITDR センサーサービスがホストサーバー上で実行されていること。
    • Client ID と Client Secret が正しく入力されていること。
    • サーバーが Sophos クラウドサービスへのアウトバウンドネットワーク接続を持っていること。

Sophos ITDR Active Directory Domains🔗

ITDR センサーを使用していて、ファイアウォールがデフォルトでアウトバウンドアクセスをブロックする場合は、アウトバウンド通信を有効にするために、次の事前署名付き S3 ドメインを許可する必要があります。

Ports

  • 443 (HTTPS)
  • 53 (DNS)

Domains

  • tf-presigned-url-eu-west-1-prod-*-bucket.s3.eu-west-1.amazonaws.com
  • tf-presigned-url-eu-central-1-prod-*-bucket.s3.eu-central-1.amazonaws.com
  • tf-presigned-url-us-east-2-prod-*-bucket.s3.us-east-2.amazonaws.com
  • tf-presigned-url-us-west-2-prod-*-bucket.s3.us-west-2.amazonaws.com
  • tf-presigned-url-ca-central-1-prod-*-bucket.s3.ca-central-1.amazonaws.com
  • tf-presigned-url-ap-southeast-2-prod-*-bucket.s3.ap-southeast-2.amazonaws.com
  • tf-presigned-url-ap-northeast-1-prod-*-bucket.s3.ap-northeast-1.amazonaws.com
  • tf-presigned-url-ap-south-1-prod-*-bucket.s3.ap-south-1.amazonaws.com
  • tf-presigned-url-sa-east-1-prod-*-bucket.s3.sa-east-1.amazonaws.com
  • tf-presigned-url-me-central-1-prod-*-bucket.s3.me-central-1.amazonaws.com

次のワイルドカードを許可します。

  • *.s3.eu-west-1.amazonaws.com
  • *.s3.eu-central-1.amazonaws.com
  • *.s3.us-east-2.amazonaws.com
  • *.s3.us-west-2.amazonaws.com
  • *.s3.ca-central-1.amazonaws.com
  • *.s3.ap-southeast-2.amazonaws.com
  • *.s3.ap-northeast-1.amazonaws.com
  • *.s3.ap-south-1.amazonaws.com
  • *.s3.sa-east-1.amazonaws.com
  • *.s3.me-central-1.amazonaws.com

自動化を設定する🔗

IDR でレスポンスアクションを使用する場合は、必要なアクション、プレイブック、およびコネクターを設定できます。

注意

以前に Azure AD または Entra ID のコネクターとプレイブックを設定している場合は、この手順を再度実行する必要はありません。自動化プレイブックは、一度設定するとプラットフォーム全体で利用できます。

自動レスポンスアクション🔗

コネクターを有効にすると、User Automated Response Actions プレイブックテンプレートを使用して、ID の検出結果に対する自動レスポンスアクションを設定できます。テンプレートの使用方法と設定方法については、Playbook Templates の手順に従い、さらに Playbook Execution 設定については次のガイダンスを参照してください。

  1. Trigger Type では、次を選択します。

    • Source: Identity Findings
    • Events: Created

    Warning

    Events に Updated を選択すると、検出結果の更新イベントが発生するたびにプレイブックが実行されます。これは体制チェックが実行されるたびに発生します。これを選択すると、ユーザーのパスワードが 1 日に複数回リセットされる可能性があります。

  2. When does this playbook run? では、Only When を選択して、プレイブックを実行する条件をカスタマイズします。Common Expression Language 構文の詳細については、CEL Overview を参照してください。

次の例では、重大度が critical または high の新しい Credential Compromise 検出結果が作成されるたびに、レスポンスアクションが実行されます。

プレイブック設定

以下は、レスポンスアクションをトリガーする条件をカスタマイズするために、CEL 式で実行できる追加の一致例です。

例

inputs.identityFindings.new.severity >= 0.6 && inputs.identityFindings.new.check.title.startsWith('Application shall not have unclaimed DNS')

inputs.identityFindings.new.severity >= 0.6 && inputs.identityFindings.new.primaryReference.derivedType == "APP"